JSSM

パネル討論の進めかた
１．歴史観からの課題（人類史の中の現在という視点）（人類史の中の現在という視点）

２．学問体系としての課題（学問的探求の視点）（学問的探求の視点）

３．実践面からの課題（企業実務の視点）（企業実務の視点）

４．技術面からの課題（自然科学の視点）（自然科学の視点）

５．ガバナンスからの課題（社会科学の視点)（社会科学の視点)
2007.02.25

JSSMセキュリティ公開討論「学会が取り組むべき課題」

1

2007.02.25 JSSMセキュリティ公開討論会

JSSM

課題構造の提示

技術面からの課題検討

名前 佐々木良一
所属 東京電機大学

Feb 2007

JSSM

課題はいろいろあるが（１）研究者がよい課題を見つけて、よい研究をやることに尽きる（２）よい研究のためにはよい情報が不可欠（３）よい情報はよい情報を発信しないと入ってこない
2007.02.25

JSSMセキュリティ公開討論「学会が取り組むべき課題」

2

JSSM

情報の受発信と学会情報の共有のための学会誌（ａ）編集部会長として学会誌の改革① ニューズレターと論文誌の合体② 解説記事の掲載③ 年１回を年３回発行に移行（井上現部会長の貢献）（ｂ）情報発信の場としての学会誌
論文の質と量の向上（量は増加、質は今後）
2007.02.25

JSSMセキュリティ公開討論「学会が取り組むべき課題」

3

JSSM

私の技術研究の進め方
１．他人がやってなくてうまくいったら成果が大きいと思うものをやる
２．複数の技術領域にまたがるもの、条件を極端にしたものに挑戦してみる
３．「もっと飢餓感を持て、もっと自負心を持て、最後のがんばりはこれらのコンプレックスが支えてくれる」
2007.02.25

JSSMセキュリティ公開討論「学会が取り組むべき課題」

4

JSSM

学際的アプローチの位置づけ
人文科学
医学
法学・経済学②コンピュータウイ
ルスに対する疫学的接近③デジタルフォレンジック

工学
狭義のセキュリティ技術
数学①多重リスク
コミュニケー
タの開発

要素技術的2007.02.25

JSSMセキュリティ公開討論「学会が取り組むべき課題」

システム的

5

JSSM

残された課題 学会の外への情報発信 真に役に立つ研究の増加
 海外への情報発信
２００８年１月２７日ー３０日
デジタルフォレンジックに関する国際学会
京都大学 ＝＞もっと増やせないか

2007.02.25

JSSMセキュリティ公開討論「学会が取り組むべき課題」

62007.02.25 JSSMセキュリティ公開討論会

JSSM

５．社会科学的視点からの課題

堀 江 正 之日本大学Feb 2007

Ａ．社会科学の基本のキホン

JSSM

ー概念の定義ー＜例＞○ セキュリティマネジメントとITマネジメントの関係？
○ ITガバナンスとITマネジメントの違い？
○ 内部統制とガバナンスの違い？
2007.02.25

JSSMセキュリティ公開討論「学会が取り組むべき課題」

2

JSSM

Ｂ．課題構造を考えるための視点
工夫の文化

ヒ ト

戦 略

セキュリティ
マネジメント

組織構造プロセス

2007.02.25

I T

規制の文化

JSSMセキュリティ公開討論「学会が取り組むべき課題」

3

JSSM

Ｃ．具体的課題
１．実証研究の必要性（ケース分析の難しさと、普遍性の発見の困難さ）
２．理論モデル/パラダイム作りとその検証（基礎研究の充実）
３．学際性の罠（アイデアはあっても、そこから先に進めない）
４．産学協同/コラボレーション（口でいうのは易しいが、研究には時間とお金がかかる）
５．アウトプットのない研究？（お勉強との違い）
2007.02.25

JSSMセキュリティ公開討論「学会が取り組むべき課題」

42007.02.25 JSSMセキュリティ公開討論会

JSSM

課題構造の提示

3．実践面からの課題

塩崎哲夫
富士通株式会社

Feb 2007

JSSM

A．課題の構造 システム開発・運用における役割分担
 発注者・受託者のセキュリティに関する契約
 セキュリティリスク分析
 セキュリティ要件の定義（技術的・運用的） セキュリティ対策の実装面の課題

2007.02.25

JSSMセキュリティ公開討論「学会が取り組むべき課題」

2

JSSM

B．構成要素別に見た具体的課題
 現状認識 システム開発・運用において、発注者・受託者間でセキュリティの要件定義や運用ルールを明確化がされているプロジェクトが少ない。
 セキュリティリスクを明確にすることを避けたがる。
 受託条件明細書を交わす習慣がない（契約書添付率３割以下）。
 役割分担の明記がされていない。
 運用ルール（ノウハウは暗黙の周知となっていた）。
 緊急トラブル対応のマニュアル化（4割以下）。

 具体的課題
 セキュリティ要件定義と残存リスクの明確化。
 受託明細書にセキュリティに関する役割・品質要件の明文化。
2007.02.25

JSSMセキュリティ公開討論「学会が取り組むべき課題」

3

JSSM

B．構成要素別に見た具体的課題
 現状認識2007.02.25

ウイルスが侵入する

アンチウイルスソフトを導入

重要な情報ファイルが漏洩する

ファイル暗号化ソフトを導入

パソコンを紛失する職員がいる

PC暗号化ソフトを導入

ネットワークが盗聴される

VPNソフトを導入

職員が他人のアカウントを使う

指紋認証装置を導入

職員が業務システムを不正に使う

ICカード認証を導入

印刷物から情報が漏れる

印刷制限ソフトを導入

メールで外部に情報を漏らす

メール検閲ソフトを導入

外からウイルスを持ち込む

PC検閲ソフトを導入

業務時間中に掲示板に書き込む

URLフィルタソフトを導入

JSSMセキュリティ公開討論「学会が取り組むべき課題」

4

JSSMB．構成要素別に見た具体的課題
 現状認識ウイルスが侵入する

アンチウイルスソフトを導入

ソフト間で相性が悪く重要な情報ファイルが漏洩する

ファイル暗号化ソフトを導入

障害が多発するパソコンを紛失する職員がいる
ネットワークが盗聴される

同じ利用者の情報を職員が他人をアカウントを使う

いたるところで気がついたら暗号化ファイルをPC暗号化ソフトを導入

さらに暗号化して通信している
VPNソフトを導入

重要な情報を扱う

指紋認証装置を導入

基幹システムのほうが職員が業務システムを不正に使う

ICカード認証を導入

印刷物から情報が漏れる

印刷制限ソフトを導入

個別に登録している

いまだにIDパスワード

ソフトウェア動作条件のメールで外部に情報を漏らす

PC起動から業務開始まで
メール検閲ソフトを導入

制約のために外からウイルスを持ち込む

数えてみるとPC検閲ソフトを導入

OSがバージョンアップできない
業務時間中に掲示板に書き込む4回認証が必要
URLフィルタソフトを導入

2007.02.25

JSSMセキュリティ公開討論「学会が取り組むべき課題」

5

JSSM

B．構成要素別に見た具体的課題
 現状認識ISMS
ISMS
業界ガイドライン
業界ガイドライン
法規制（個人情報保護法など）
法規制（個人情報保護法など）

業界要求
業界要求
セキュリティ要求事項
セキュリティ要求事項（What（What toto do
do ：： 何をすべきか）
何をすべきか）セキュリティの実装指針
セキュリティの実装指針（How（How toto do
do ：： どうあるべきか）
どうあるべきか）

 What to doの標準や指針は多いが、How to doは手探り
2007.02.25

JSSMセキュリティ公開討論「学会が取り組むべき課題」

6

JSSM

B．構成要素別に見た具体的課題
 セキュリティ対策実装面の具体的課題
業務共通のセキュリティ機能要件を整理し、アーキテクチャとしての確立

販売

ポリシー
ポリシー

CRM

人事

・・・

セキュリティアーキテクチャー
認証・ID管理スタンダードスタンダードアクセス制御ログ収集・分析

プロシジャー
プロシジャー

・・・
・

変更管理

ガイド
ライン

ガイド
ライン

・・・・・

ガイド
ライン

◇暗号鍵管理ＥＳＡ はスタンダードとプロシジャーの間に位置し、組織にとってあるべきセキュリティの実装指針。
セキュリティポリシのスタンダードの中に定義
2007.02.25

JSSMセキュリティ公開討論「学会が取り組むべき課題」

7